Katalog podatności CVE

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na odbity atak XSS poprzez parametr 'esi' we wszystkich wersjach do 7.9 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga podania prawidłowo podpisanego 'esi' w zapytaniu GET oraz osobnego payloadu 'esi' w ciele POST, wykorzystując domyślną kolejność scalania $_REQUEST w PHP.

Wtyczka Redux Framework dla WordPressa jest podatna na przechowywany atak XSS poprzez pole spinner w wersjach do 4.5.13 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. W funkcji user_meta_save() wartości skalarne omijają logikę sanityzacji, która przetwarza tylko tablice, co pozwala na zapisanie wartości pola spinner w metadanych użytkownika bez odpowiedniej sanityzacji. Następnie wartość jest renderowana w niecytowanym atrybucie HTML bez escapingu, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów.

Wtyczka YS LeadGen dla WordPressa jest podatna na obejście autoryzacji i przechowywany atak XSS poprzez wiele endpointów AJAX we wszystkich wersjach do 2.1.4 włącznie, z powodu braku sprawdzania uprawnień w akcjach zarządzania popupami. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej tworzenie dowolnych popupów i wstrzykiwanie złośliwego JavaScript, który wykonuje się przy wyświetleniu popupu, prowadząc do przechowywanego XSS.

Wtyczka YS LeadGen dla WordPressa w wersjach do 2.1.4 włącznie jest podatna na ujawnienie danych wrażliwych. Akcja AJAX 'ysleadgen_get_captured_data' jest dostępna dla nieuwierzytelnionych użytkowników, co pozwala na odczyt wszystkich danych z formularzy, w tym danych osobowych (imiona, adresy e-mail, treści wiadomości).

Wtyczka TikTok dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.4.1 włącznie, z powodu nieprawidłowego weryfikowania uprawnień użytkownika. Umożliwia to nieuwierzytelnionym atakującym nadpisanie przechowywanego tokena dostępu do integracji TikTok w opcjach WordPressa, przejmując integrację TikTok Business i katalogu produktów. Skuteczne wykorzystanie wymaga podania prawidłowego kodu autoryzacyjnego OAuth wydanego dla zarejestrowanej aplikacji TikTok sprzedawcy.

Wtyczka Custom Field Template dla WordPressa jest podatna na ogólny SQL Injection poprzez parametr 'post_ID' we wszystkich wersjach do 2.7.8 włącznie, z powodu niewystarczającego escapingu parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych. Sprawdzanie uprawnień jest omijalne, ponieważ WordPress wewnętrznie rzutuje $id na liczbę całkowitą, podczas gdy pełny niesanityzowany ciąg jest przekazywany do zapytania.

Wtyczka Payment Gateway of Stripe for WooCommerce dla WordPressa jest podatna na nieprawidłową weryfikację podpisu kryptograficznego we wszystkich wersjach do 5.0.8 włącznie. Publicznie dostępny endpoint webhooka `woocommerce_api_wt_stripe` zawiera jedyne wywołanie `\Stripe\Webhook::constructEvent()` wewnątrz warunku `if (!empty($endpoint_secret))`, który nie jest spełniony na domyślnych instalacjach, ponieważ opcja `eh_stripe_webhook_secret` jest pusta po świeżej instalacji. To powoduje, że surowe, kontrolowane przez atakującego dane POST są dekodowane i przetwarzane jako w pełni zaufane zdarzenie Stripe bez żadnej weryfikacji podpisu, uwierzytelniania ani autoryzacji. Umożliwia to nieuwierzytelnionym atakującym wysyłanie sfałszowanych zdarzeń webhook Stripe w celu manipulowania statusami zamówień WooCommerce, w tym oznaczania niezapłaconych zamówień jako opłaconych lub ukończonych, wymuszania stanu niepowodzenia, tworzenia fałszywych powiadomień o sporach i wstrzykiwania fałszywych zdarzeń zwrotu. Podatność jest wykorzystywalna tylko wtedy, gdy administrator nie skonfigurował sekretu podpisywania webhooka Stripe.

Wtyczka Flex Import dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 3.0 włącznie, z powodu funkcji license_activate_fleximp() i license_deactivate_fleximp(), które są podpięte do akcji AJAX, ale nie sprawdzają uprawnień ani nie weryfikują nonce. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej aktywowanie dowolnego/fałszywego klucza licencyjnego (zapisując go w opcjach) lub dezaktywację legalnej licencji, co zakłóca funkcje premium wtyczki.

Wtyczka Easy Appointments dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.12.27 włącznie poprzez handle_customers_ajax. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wyciągnięcie pełnego zestawu danych klientów z tabeli ea_customers, w tym danych osobowych takich jak imiona, adresy e-mail, numery telefonów, daty urodzenia i adresy fizyczne.

Wtyczka MC4WP: Mailchimp for WordPress dla WordPressa jest podatna na odbity atak XSS poprzez 'data' Dynamic Content Tag we wszystkich wersjach do 4.14.0 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku.

Wtyczka ProfilePress dla WordPressa w wersjach do 4.17.2 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Wynika to z braku właściwej walidacji wartości przed uruchomieniem do_shortcode, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na wykonywanie dowolnych shortcode'ów.

Wtyczka WP Ghost (Hide My WP Ghost) – Security & Firewall dla WordPressa w wersjach do 7.0.02 włącznie jest podatna na otwarte przekierowanie (Open Redirect) z powodu niewłaściwej walidacji danych wejściowych użytkownika. Nieuwierzytelniony atakujący może przekierować użytkownika na złośliwą stronę, jeśli nakłoni go do kliknięcia specjalnie spreparowanego linku. Wykorzystanie wymaga nakłonienia zalogowanego użytkownika do kliknięcia spreparowanego adresu URL wylogowania; ofiara zostaje najpierw wylogowana przez wp_logout(), a następnie następuje złośliwe przekierowanie.

Wtyczka GoPay for WooCommerce dla WordPressa w wersjach do 1.0.36 włącznie jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'log_table_filter' z powodu niewystarczającego escapowania danych wejściowych użytkownika i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami menedżera sklepu lub wyższymi może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyciągnięcie poufnych informacji z bazy danych.

Wtyczka WP Optimizer dla WordPressa w wersjach do 2.5.0 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 's' z powodu niebezpiecznej gałęzi wykrywania podzapytań w metodzie Query::parse_key_compare_field(). Gdy wartość podana przez użytkownika pasuje do wyrażenia regularnego ^[(\s]*SELECT\s+, jest ona owijana w nawiasy i osadzana bezpośrednio w zapytaniu SQL bez escapowania. Uwierzytelniony atakujący z uprawnieniami administratora może wstrzyknąć dowolne podzapytania SQL, w tym ładunki typu time-based blind, co pozwala na wyciągnięcie poufnych informacji z bazy danych.

Wtyczka Redux Framework dla WordPressa w wersjach do 4.5.13 włącznie jest podatna na przechowywane skrypty cross-site (Stored XSS) poprzez wartości filtrów pola Media z powodu niewystarczającej sanityzacji danych wejściowych w funkcji user_meta_save() i niebezpiecznego wyjścia wartości CSS filtrów w funkcji render() bez odpowiedniego escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Bread dla WordPressa w wersjach do 2.9.12 włącznie jest podatna na ujawnienie informacji z powodu braku kontroli uwierzytelniania i autoryzacji w funkcji eksportu ustawień (download_settings), która jest zarejestrowana na hooku plugins_loaded i pozwala na wykonanie na stronach publicznych. Funkcja eksportuje wszystkie ustawienia konfiguracyjne wtyczki, w tym pole protection_password przechowywane w postaci jawnej. Nieuwierzytelniony atakujący może uzyskać hasło ochrony PDF, uzyskując dostęp do endpointu /?export-meeting-list=1.

Wtyczka The Welcomizer dla WordPressa w wersjach do 2.8.1 włącznie jest podatna na zdalne wykonanie kodu (RCE). Brak kontroli uprawnień w akcji AJAX 'twiz_ajax_callback' (handler 'savesection') w połączeniu z użyciem eval() do wykonania kodu dostarczonego przez użytkownika pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na wstrzyknięcie dowolnego kodu PHP.

Wtyczka WP Composer – The Easiest Page Builder dla WordPressa w wersjach do 1.0.5 włącznie jest podatna na przechowywane skrypty cross-site (Stored XSS) poprzez shortcode 'pbwp_raw_shortcode' z powodu dekodowania zawartości zakodowanej w Base64 i wyprowadzania jej bezpośrednio bez sanityzacji lub escapowania. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Kodowanie Base64 pozwala obejść filtrowanie KSES WordPressa podczas zapisu.

Motyw VW Writer Blog dla WordPressa w wersjach do 1.3.8 włącznie jest podatny na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'vw_writer_blog_reset_all_settings'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może zresetować wszystkie ustawienia personalizatora motywu do wartości domyślnych.

Wtyczka Ibtana – Ecommerce Product Addons dla WordPressa w wersjach do 0.4.7.7 włącznie jest podatna na nieautoryzowaną modyfikację metadanych wpisów z powodu braku sprawdzenia uprawnień w akcji AJAX 'iepa_use_gt_editor'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może zaktualizować lub usunąć dowolne wpisy metadanych poprzez klucz 'iepa_builder'.